U kunt de mastersleutels die u gebruikt voor het versleutelen en ontsleutelen van extracten opslaan in een extern sleutelbeheersysteem (KMS).Door rechtstreekse controle over versleutelingssleutels te bieden, kan het gebruik van een externe KMS organisaties helpen hun beveiligingspositie te verbeteren, te voldoen aan wettelijke verplichtingen en de datasoevereiniteit te behouden.

Zie Een externe KMS gebruiken voor sleutelbeheer voor algemene informatie over de voordelen van het gebruik van een externe KMS voor sleutelbeheer.

Opmerking: de functie Externe KMS voor extractversleuteling is beschikbaar vanaf Tableau Cloud februari 2026 als u Tableau+, Tableau Enterprise of Advanced Management hebt.Als u op een gegeven moment Tableau+, Tableau Enterprise of Advanced Management niet meer hebt, kunt u nog wel werken met uw versleutelde objecten, maar kunt u geen sleutels beheren.

Configuratieoverzicht

De stappen op samenvattingsniveau voor het gebruik van de AWS KMS met Tableau zijn:

1. AWS KMS: de mastersleutel van de klant maken (CMK).
2. Tableau Cloud: extractversleuteling inschakelen (of migreren van door de klant beheerde versleutelingssleutels, waarbij gebruik wordt gemaakt van Salesforce KMS).
3. Tableau Cloud: een sleutel genereren in Tableau met behulp van de ARN van de klantmastersleutel uit de AWS KMS.
4. AWS KMS: de JSON van het Tableau-sleutelbeleid toevoegen aan het beleid van de AWS-klantmastersleutel.
5. Tableau Cloud: de sleutel activeren.

Configuratiedetails

De configuratie begint met:

1. Log in bij uw Tableau Cloud-site.
2. Selecteer Instellingen in het navigatiedeelvenster links.
3. Selecteer het tabblad Beveiliging.

1.Een mastersleutel maken in de AWS KMS

De sleutels die Tableau gebruikt voor versleuteling zijn gebaseerd op mastersleutels van klanten ('customer master keys', CMK's) die zich in de AWS KMS(Link wordt in een nieuw venster geopend) bevinden.U hebt daarom een CMK in de AWS KMS nodig voordat Tableau sleutels kan genereren.

Het dialoogvenster voor het genereren van Tableau-sleutels bevat een link naar de AWS KMS(Link wordt in een nieuw venster geopend), zodat u een CMK kunt maken of info kunt krijgen over een bestaande CMK.Als u hulp nodig hebt met sleutels in AWS KMS, neem dan contact op met uw lokale sleutelexpert.

AWS-sleutels worden geïdentificeerd aan de hand van een unieke Amazon Resource Name (ARN).U wordt gevraagd om de ARN van de CMK op te geven tijdens het proces voor het genereren van de Tableau-sleutel.Sleutel-ARN's hebben de volgende notatie:

arn:aws:kms:us-east-2:123456789012:key/12345678-90ab-cdef-1234-567890abcdef

Nadat de klantmastersleutel is gemaakt in AWS, kunt u extractversleuteling inschakelen in Tableau Cloud.

2.Extractversleuteling inschakelen met een externe KMS

Opmerking: als versleuteling eenmaal is ingeschakeld, kunt u het niet meer uitschakelen.Bovendien is het overstappen van door de klant beheerde versleutelingssleutels (met behulp van de Salesforce KMS) naar een externe KMS permanent en kan dit niet ongedaan worden gemaakt.

Een externe KMS inschakelen:

1. Selecteer Extracten versleutelen in de sectie Extractversleuteling.
2. Selecteer Gebruik een externe KMS.
   • Als Gebruik de KMS van Salesforce al is geselecteerd, gebruikt u op dat moment door de klant beheerde versleutelingssleutels via de Salesforce KMS.(Zie Door de klant beheerde versleutelingssleutels(Link wordt in een nieuw venster geopend) voor meer informatie.)Als u de instelling verandert in Gebruik een externe KMS, wordt de Salesforce KMS permanent gewijzigd in een externe KMS.Raadpleeg Migreren van door de klant beheerde versleutelingssleutels naar een externe KMS voordat u uw KMS wijzigt.
3. Selecteer Sleutel genereren.
   • Als u migreert van de Salesforce KMS naar een externe KMS, lees dan de waarschuwing en selecteer Overstappen op externe KMS.

3.Een sleutel genereren

Het genereren van een sleutel is de eerste stap naar het lezen en schrijven van versleutelde extracten.Als u al een actieve sleutel hebt, genereert u een nieuwe sleutel als eerste stap voor het vervangen van de op dat moment actieve sleutel.

Een sleutel genereren in Tableau:

1. Selecteer Sleutel genereren in de sectie Extractversleuteling.
2. Als u de eerste sleutel voor een site genereert, wordt het dialoogvenster De AWS KMS configureren weergegeven.Als u al een actieve sleutel hebt, gaat u eerst verder met het bevestigingsdialoogvenster Sleutel genereren.
3. Selecteer De AWS KMS starten en meld u aan, indien nodig.
4. Maak een nieuwe sleutel in de AWS KMS of zoek een bestaande sleutel en kopieer vervolgens de ARN van de sleutel.Als u hulp nodig hebt met sleutels in AWS KMS, neem dan contact op met uw lokale sleutelexpert.
5. Ga terug naar het dialoogvenster De AWS KMS configureren in Tableau en plak de ARN van de sleutel in het veld Sleutel-ARN uit AWS.
6. U kunt desgewenst een beschrijving invoeren.
7. Selecteer Volgende (of Versleuteling inschakelen als dit de eerste sleutel voor de site is).
8. Selecteer Gereed als u de JSON van het sleutelbeleid later aan de AWS KMS wilt toevoegen, of volg de instructies in JSON van sleutelbeleid toevoegen aan KMS-sleutelbeleid om dit nu te doen.

De sleutel kan pas worden gebruikt om extracten te lezen of te schrijven nadat u de JSON van het sleutelbeleid hebt toegevoegd aan het AWS KMS-beleid en dit vervolgens activeert.

4.JSON van sleutelbeleid toevoegen aan KMS-sleutelbeleid

Een net gegenereerde sleutel heeft de status In behandeling.Deze sleutel kan pas worden gebruikt om extracten te lezen of te schrijven nadat u de JSON van het sleutelbeleid hebt toegevoegd aan het AWS KMS-beleid en de sleutel vervolgens activeert.

Als u de JSON van het sleutelbeleid wilt zien, gaat u verder vanaf het proces Een sleutel genereren.

Ga als volgt te werk als u niet verdergaat vanaf dat proces:

1. In de sectie Extractversleuteling selecteert u Acties (...) naast de desbetreffende sleutel In behandeling.
2. Selecteer Sleutelbeleid.

U kunt de JSON van het sleutelbeleid toevoegen aan het AWS KMS-beleid door het relevante Statement-object te kopiëren van Tableau naar de JSON van het beleid in de AWS KMS.U hebt maar een deel van de volledige JSON-tekst nodig.Het kan sneller zijn om Sleutelbeleid kopiëren te selecteren en de tekst in een teksteditor te plakken en bewerken.

Kopieer het object in de Statement-array in de JSON-tekst.Voeg daarna de gekopieerde tekst toe aan de Statement-array in het beleid van de AWS KMS-sleutel waarbij u de standaard JSON-syntaxis volgt.(U moet waarschijnlijk een komma toevoegen aan het einde van de bestaande AWS KMS Statement-array voordat u de nieuwe JSON toevoegt.)

{
    "Version": "2012-10-17",
    "Id": "sfdc-key-access-policy",
    "Statement": [
{
            "Sid": "AllowSalesforceShieldKeyBroker1234567890abc",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:sts::123456789abc:assumed-role/EkmAwsKmsAccessRole/1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ12"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:sf-auth": "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQ"
                }
            }
        }
]
}

5.Een sleutel activeren

Activeer een sleutel om deze te gebruiken voor het lezen en schrijven van nieuwe extracten.De actie Sleutel activeren is alleen beschikbaar voor een sleutel met de status In behandeling.

1. In de sectie Extractversleuteling selecteert u Acties (...) naast de desbetreffende sleutel In behandeling.
2. Selecteer Sleutel activeren....

Als u al een actieve sleutel hebt, verandert de status van de bestaande sleutel bij het activeren van een nieuwe sleutel in Gearchiveerd.Een gearchiveerde sleutel wordt alleen gebruikt om extracten te lezen die met de sleutel zelf zijn geschreven.De nieuwe sleutel wordt Actief en wordt gebruikt om nieuwe extracten te schrijven en om extracten te lezen die ermee zijn geschreven.

Opmerking: nadat u versleuteling hebt ingeschakeld en de eerste sleutel op een site hebt geactiveerd, maakt Tableau Cloud voor elk extract op uw site een achtergrondjob voor extractversleuteling.Deze jobs worden ingesteld op de laagste prioriteit. Dat wil zeggen dat ze alleen worden uitgevoerd als er extra bronnen beschikbaar zijn.Bestaande extractvernieuwingsjobs worden uitgevoerd voordat extracten worden versleuteld.

Andere acties

Een sleutel archiveren

Gearchiveerde sleutels kunnen extracten lezen die met de sleutel zijn geschreven, maar worden niet gebruikt om nieuwe extracten te schrijven.De enige manier om een sleutel te archiveren is om een nieuwe sleutel te activeren.Zie Een sleutel activeren.

Een sleutel deactiveren

Deactiveer een gearchiveerde sleutel zodat deze niet meer gebruikt kan worden voor het lezen of schrijven van extracten.Dit kan nodig zijn als de sleutel gecompromitteerd is.De actie Sleutel deactiveren is alleen beschikbaar voor sleutels met de status Gearchiveerd.

Wanneer u een sleutel deactiveert, kunt u deze niet meer gebruiken om extracten te lezen die met deze sleutel zijn geschreven (in tegenstelling tot een gearchiveerde sleutel, die extracten die ermee zijn geschreven wel kan lezen).Dit betekent dat bepaalde op extracten gebaseerde inhoud mogelijk niet meer werkt als deze niet met een actieve sleutel is versleuteld.Als u toegang wilt behouden tot op extracten gebaseerde inhoud waarvoor de oude sleutel wordt gebruikt, zorg er dan voor dat de extracten worden vernieuwd met een actieve sleutel voordat u de oude sleutel deactiveert.

Opmerking: u kunt een gedeactiveerde sleutel zo nodig Herstellen.Als u een sleutel herstelt, wordt de status van de sleutel gewijzigd van Gedeactiveerd in Gearchiveerd.Zie Een sleutel herstellen.

Een sleutel deactiveren:

1. In de sectie Extractversleuteling selecteert u Acties (...) naast de desbetreffende sleutel Gearchiveerd.
2. Selecteer Sleutel deactiveren....
3. Typ 'Deze sleutel deactiveren' in het tekstveld om de actie te bevestigen.
4. Selecteer Sleutel deactiveren.

Een sleutel herstellen

U kunt een gedeactiveerde sleutel herstellen zodat deze kan worden gebruikt voor het lezen van de extracten die met de sleutel zijn geschreven.De actie Sleutel herstellen is alleen beschikbaar voor sleutels met de status Gedeactiveerd en verandert de status in Gearchiveerd.

Wanneer u een sleutel herstelt naar de gearchiveerde status, wordt deze niet meer gebruikt om extracten te schrijven.De sleutel wordt dan alleen gebruikt om fragmenten te lezen die met de sleutel zelf zijn geschreven.

1. Log in bij uw Tableau Cloud-site.
2. Selecteer Instellingen in het navigatiedeelvenster links.
3. Selecteer het tabblad Beveiliging.
4. In de sectie Extractversleuteling selecteert u Acties (...) naast de desbetreffende sleutel Gedeactiveerd.
5. Selecteer Sleutel herstellen....
6. Selecteer Sleutel herstellen.

Een sleutel verwijderen

Het is niet mogelijk om versleutelingssleutels voor extracten te verwijderen.Een sleutel kan alleen worden gearchiveerd (waarbij de inhoud die ermee is geschreven nog steeds kan worden gelezen) of gedeactiveerd (waarbij inhoud niet kan worden gelezen of geschreven).Zie Sleutelstatussen.

Opmerking: als u de klantmastersleutel (Customer Master Key, CMK) in de AWS KMS uitschakelt, werken de Tableau-sleutels die hiervan zijn afgeleid niet meer voor versleuteling of ontsleuteling.En als u de door Tableau gegenereerde clausule verwijdert uit het CMK-beleid in de AWS KMS, werken de Tableau-sleutels die hiervan zijn afgeleid ook niet meer.

Sleutelbeleid bekijken

In het dialoogvenster Sleutelbeleid wordt de JSON van het sleutelbeleid weergegeven die moet worden toegevoegd aan het beleid van de AWS KMS-sleutel.De JSON van het sleutelbeleid kan tijdens het proces Een sleutel genereren of later worden toegevoegd.

Zie JSON van sleutelbeleid toevoegen aan KMS-sleutelbeleid voor meer informatie.

U kunt de JSON van het sleutelbeleid als volgt bekijken:

1. In de sectie Extractversleuteling selecteert u Acties (...) naast de desbetreffende sleutel.
2. Selecteer Sleutelbeleid.

Sleutelgeschiedenis bekijken

Elke rij van de tabel met de sleutelgeschiedenis bevat een gebeurtenis, de sleutelstatus na de gebeurtenis en de datum en tijd van de gebeurtenis.

De geschiedenis van een sleutel weergeven:

1. In de sectie Extractversleuteling selecteert u Acties (...) naast de desbetreffende sleutel.
2. Selecteer Sleutelgeschiedenis.

Configuratie testen

Gebruik de actie Configuratie testen voor een sleutel met de status In behandeling om te bepalen of deze geactiveerd kan worden.Gebruik de actie Configuratie testen voor sleutels met andere statussen om weer te geven of deze werken, zouden moeten werken of niet zullen werken.

De configuratie voor een sleutel testen:

1. In de sectie Extractversleuteling selecteert u Acties (...) naast de desbetreffende sleutel.
2. Selecteer Configuratie testen....

Succes:

• De sleutel kan worden gebruikt om extracten te versleutelen.Als de sleutel de status In behandeling heeft, kan deze veilig worden geactiveerd.Als de sleutel al actief is, werkt deze.

Fouten:

• POLICY_DENIED — Het beleid van de externe KMS staat deze sleutel niet toe.Controleer of u het beleid van deze sleutel naar de externe KMS hebt gekopieerd.
• KEY_NOT_FOUND — De sleutel is niet gevonden of de sleutel is gedeactiveerd in Tableau.Bevestig de ARN en het beleid van de AWS KMS-sleutel.
• ONBEKEND — Er is een onbekende fout opgetreden.Verzeker u ervan dat de sleutel niet is uitgeschakeld in de AWS KMS en probeer het opnieuw.

Opmerking: als u de klantmastersleutel (Customer Master Key, CMK) in de AWS KMS uitschakelt, werken de Tableau-sleutels die hiervan zijn afgeleid niet meer voor versleuteling of ontsleuteling.En als u de door Tableau gegenereerde clausule verwijdert uit het CMK-beleid in de AWS KMS, werken de Tableau-sleutels die hiervan zijn afgeleid ook niet meer.